Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

checkMediaPerm(): Ziel nicht geprüft bei Verschieben + keine Kaskadierung auf Unterkategorien

Aperta
  • Qualcosa non va?
#80 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
55/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
php
Ambito
api, authorization, backend, security

Direzione di ricerca

Inizia in lib/RoutePackage/Media.php con checkMediaPerm(), hasCategoryPerm(), handleUpdateMedia(), handleUpdateCategory() e handleDeleteCategory(). Confronta i controlli della categoria di origine con redaxo/src/addons/mediapool/pages/media.list.php righe 46-50. Il lavoro è completato quando le operazioni di spostamento verificano sia l'origine sia la destinazione, l'opzione permitted_only può verificare gli antenati senza modificare il comportamento predefinito e i percorsi di autorizzazione interessati rimangono protetti.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

checkMediaPerm() in Media.php prüft bei Verschiebe-artigen Operationen nur die Quelle, nicht das Ziel. handleUpdateCategory() und handleDeleteCategory() prüfen Zugriff auf die zu ändernde Kategorie selbst (checkMediaPerm($user, $Category->getId()), Z. 1132 bzw. Z. 1100) statt auf deren Elternkategorie, wodurch eine zugewiesene Ordnergrenze durch den betroffenen User selbst aufgelöst werden kann. handleUpdateMedia() prüft beim Verschieben einer Datei nur die alte Kategorie (Z. 891), nicht die neue category_id aus dem Body (Z. 912 bzw. Z. 940), wodurch eine Datei in jede beliebige fremde Kategorie verschoben werden kann.

Lösungsvorschlag: Bei Operationen, die category_id/parent_id ändern, zusätzlich zur Quelle auch die Zielkategorie prüfen.

Zusätzlich prüft hasCategoryPerm($categoryId) immer nur exakten Treffer, nie Vorfahren. Sobald Zugriff auf eine Kategorie auch für ihren Unterbaum gelten soll, führt das dazu, dass Lesen/Hochladen/Löschen/Verschieben in einer Unterkategorie einer freigegebenen Kategorie mit 403 fehlschlägt. Betrifft Liste, Upload, Löschen, Get/Get-File, Update.

Lösungsvorschlag: Den bestehenden permitted_only-Opt-in um eine kaskadierende Prüfung erweitern – bei gesetztem Flag zusätzlich zum exakten Treffer die Vorfahrenkette prüfen (rex_media_category::getPath(), pro Vorfahre hasCategoryPerm()). Ändert nichts am Default-Verhalten.

Der klassische Medienpool hatte dieselbe Fehlerklasse (spiegelbildlich: updatecat_selectedmedia prüfte nur die Ziel-Kategorie, nicht die Quell-Kategorie jeder ausgewählten Datei), das ist im Core aber inzwischen behoben – die Quell-Kategorie wird pro Datei geprüft, siehe Z. 46-50. Guter Referenzpunkt für den Fix hier.

Lingua principale
PHP
Stelle
20
Fork
0
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di FriendsOfREDAXO/api

Tutte le issue di FriendsOfREDAXO/api

Issue simili

Altre issue su PHP

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.